スマホを中継器にしてカード決済を盗む新種マルウェア「WindRelay」が確認される、遠隔操作ウイルスと連携

要点

• 被害者のAndroid端末をNFC中継器に変え、非接触決済を不正に実行する新種マルウェア「WindRelay」が確認された。

• 遠隔操作型トロイの木馬「SpyNote」と連携し、被害者に画面共有を意識させずバックグラウンドで不正アプリを自動導入する。

• 攻撃者は電話で被害者を騙し、侵害された口座の確認などの名目でスマートフォンに決済カードをタッチさせる。

• 読み取られたカード信号は攻撃者側の端末へリアルタイムで中継され、遠隔地の決済端末で不正決済が行われる。

• 2025年11月から2026年7月にかけて23件の検体が確認されており、チェコやスロバキアなどの金融機関になりすましていた。

• シンガポールに拠点を置くサイバーセキュリティ企業Group-IBの研究者は、被害者のAndroid端末を踏み台にして決済カード情報をリアルタイムに中継・悪用する新種のマルウェア「WindRelay」を確認したと発表した。このマルウェアは、既知の遠隔操作型トロイの木馬（RAT：遠隔から端末を不正操作するソフトウェア）である「SpyNote」と組み合わせて展開されており、2025年8月下旬に初めて実環境で観測されたという。攻撃者は巧妙なソーシャルエンジニアリング（人間の心理的な隙を突く詐欺手法）と端末の遠隔制御を組み合わせ、非接触決済の不正利用を行っている。

標的ごとにアプリを用意し、遠隔操作で静かに侵入

Group-IBによると、一連の攻撃はフィッシングやSMSを用いたスミッシング、電話を用いたビッシングなどの詐欺から始まる。攻撃者は標的を誘導し、不正なアプリをサイドローディング（公式アプリストアを経由せずに直接端末へアプリをインストールすること）させる。

この手口では、配布されるAPKファイルにあらかじめ標的となる人物の氏名が含まれているなど、個別に対象を絞り込んだカスタマイズが行われていた。攻撃者は事前に標的の氏名や電話番号を収集する偵察を行っており、電話口での口実をより信憑性の高いものに見せかける細工を施していたとみられている。

端末に侵入したSpyNoteは、Androidの「ユーザー補助機能（Accessibility Service）」の権限を悪用する。これにより、画面共有機能を起動して被害者に不審がられることなく、バックグラウンドで静かにWindRelayをインストールし、有効化するという。

被害者自身にカードをタッチさせ、信号をリアルタイム中継

侵入後、攻撃者は被害者に対して電話などで連絡を取り、「アカウントが侵害されたため本人確認が必要」「暗証番号（PIN）の変更やカードの確認が必要」といった偽の理由を伝える。そして、感染したスマートフォン本体に物理的な決済カードをかざすよう指示を出す。

被害者がスマートフォンにカードをタッチすると、端末は近距離無線通信技術であるNFC（Near Field Communication）を介してカードの無線信号を読み取る。これにより、被害者の端末は本人の知らないうちに決済プロキシ（中継サーバー）へと仕立て上げられ、非接触決済の通信を中継する不正なブリッジとして機能する。

WindRelayのシステムは、主に以下の2つのコンポーネントで構成されている。

• リーダー（Reader）: 被害者の端末に導入され、NFCを通じて物理的な決済カードと直接通信してデータを読み取る。
• エミュレーター（Emulator）: 攻撃者の端末に導入され、店舗などの決済端末に対してあたかも本物のカードがあるかのように振る舞う。

この2つのコンポーネントは、WebSocket通信を用いた共通のC2（コマンド＆コントロール）サーバーを介して相互に接続されている。決済端末と被害者のカードの間でやり取りされるEMV APDU（ICカード決済で用いられる標準的な通信コマンド）の送受信がリアルタイムでリレーされるため、離れた場所にいる攻撃者がカードを不正利用できる仕組みとなっている。

拡大する「Ghost Tap」攻撃と二重の収益化手口

こうした非接触決済データをリアルタイムに中継する手法は「Ghost Tap」とも呼ばれている。サイバー犯罪者にとっては、被害者のカード情報を複製して自らの端末上で再現できるため、身元を隠しながら大規模に現金引き出しや店舗決済を行える利点がある。

セキュリティ企業ESETも過去のレポートにおいて、侵害されたカードデータを読み込んだ多数のAndroid端末を用意し、不正取引を自動化するファームのような運用が理論上可能であると指摘していた。Androidを標的としたNFCリレー型マルウェアは近年増加傾向にあり、チェコ共和国をはじめ、過去1年間でブラジル、ポーランド、スロバキアなどへの拡大が確認されている。

今回のGroup-IBの調査では、2025年11月から2026年7月の間にオンラインスキャンサービスのVirusTotalへ23件のWindRelay検体がアップロードされていたことが判明した。これらの検体はチェコ、スロバキア、スロベニアの金融機関を装っていたという。

Group-IBの研究者らは、今回の手口をAndroidマルウェアの新たな進化形であり、1つの攻撃フローの中で複数の利益獲得を狙う「二重の収益化戦略」であると分析している。具体的には、RATによる遠隔操作を用いてオンラインで不正融資を申し込むと同時に、NFCリレー機能によって実店舗でのカード決済を成立させることが可能になる。同社は、電話による直接的なソーシャルエンジニアリング、個別最適化されたRAT、そしてNFCリレーという3つの要素を単一のセッションで統合した複合的な脅威であると警鐘を鳴らしている。